PrestaShop 9.1.1 Teraz Dostępny: Krytyczna Aktualizacja Bezpieczeństwa

PrestaShop oficjalnie wydał wersję 9.1.1, która zawiera krytyczną poprawkę bezpieczeństwa dla gałęzi 9.1. Ta aktualizacja dotyczy luki w zabezpieczeniach typu przechowywane Cross-Site Scripting (XSS), która została znaleziona w widoku Obsługi Klienta w panelu administracyjnym (Identyfikator: GHSA-w9f3-qc75-qgx9). Biorąc pod uwagę powagę tego problemu, zdecydowanie zaleca się, aby wszyscy użytkownicy jak najszybciej zaktualizowali swoje instalacje.

Szczegóły Poprawki Bezpieczeństwa

Luka została oceniona jako Krytyczna z wynikiem 9.3/10 (CWE-79). Pełne szczegóły techniczne dotyczące wektora ataku są udokumentowane w poradniku bezpieczeństwa. Dodatkowo, problem ten został również rozwiązany w wersji PrestaShop 8.2.6, która została wydana równocześnie.

Jak Zaktualizować do PrestaShop 9.1.1

Zaktualizowanie sklepu PrestaShop do wersji 9.1.1 jest zdecydowanie zalecane. Możesz skorzystać z Asystenta Aktualizacji, aby przeprowadzić bezproblemowy proces aktualizacji. Przed przystąpieniem do aktualizacji upewnij się, że utworzyłeś pełną kopię zapasową swojej bazy danych i plików.

Jeśli nie możesz zaktualizować od razu, istnieją dwa alternatywne sposoby na złagodzenie luki:

Opcja 1: Zainstaluj Moduł Poprawkowy

Pobierz najnowszą wersję modułu poprawkowego pshotfix_ghsaw9f3qc75qgx9 i załaduj plik ZIP przez Moduły > Menedżer modułów > Załaduj moduł. Ten moduł automatycznie wykona kopię zapasową podatnego szablonu i zastosuje niezbędną poprawkę. Jest kompatybilny z wersjami PrestaShop 1.7, 8.x i 9.x.

Opcja 2: Zastosuj Poprawkę Ręcznie (Zaawansowani Użytkownicy)

Dla tych, którzy czują się komfortowo z kodem, poprawka składa się z dwóch części:

Część 1: Ucieczka Email w Szablonie Wątków Klienta

Luka wynika z renderowania wartości emaila wątku klienta w panelu administracyjnym bez ucieczki HTML. Aby to naprawić, zlokalizuj plik:

{YOUR_ADMIN_DIR}/themes/default/template/controllers/customer_threads/helpers/view/view.tpl

Zamień wystąpienia {$thread->email} na:

{$thread->email|escape:'html':'UTF-8'}

Część 2: Zacieśnienie Walidacji Email w `classes/Validate.php`

Zmodyfikuj metodę isEmail() w classes/Validate.php, aby przełączyć z trybu 'luźnego' na 'ściślejszy' dla walidacji emaili. Ta zmiana pomoże odrzucić potencjalnie szkodliwe formaty emaili przed ich zapisaniem.

Pobierz PrestaShop 9.1.1

Możesz pobrać PrestaShop 9.1.1 teraz!